کرم 42 مخزن GitHub را با مخفی کردن یک محموله بسیار بزرگ برای خراب کردن، مسلح کرد

به گفته محققان JFrog، یک کرم جدید npm خانواده Miasma، که در ابتدا فقط یک آزمایش بدون قربانی بود، مخفیانه 42 مخزن GitHub واقعی از 11 مالک را مسلح کرد، حساب‌ها را در اوایل ماه جولای ربوده و از یک محموله مخفی ساخته شده برای مخفی ماندن از GitHub و اسکنرهای خودکار JFrog استفاده کرد.

شکارچیان تهدید در SafeDep، یک شرکت امنیتی زنجیره تامین منبع باز، هفته گذشته برای اولین بار کمپین npm "testmetest" را مشاهده کردند و 18 بسته مرتبط با یک اپراتور را بین 19 تا 25 اکتبر شناسایی کردند، از جمله انتشاراتی که حاوی بدافزار سرقت مدارک هستند. محققان امنیتی خاطرنشان کردند، مانند کرم‌های npm قبلی، بدافزار خود تکثیر می‌شود، اعتبارنامه‌ها را می‌دزدد و یک پاک‌کن نصب می‌کند که وقتی قربانی رمز دزدیده شده GitHub را لغو می‌کند، فهرست اصلی را حذف می‌کند.

کرم جدید npm کد را با کرم Miasma Phantom Gyp ژوئن به اشتراک می گذارد و پاک کن توکن-ابطال Mini Shai-Hulud را اضافه می کند.

با این حال، تا 22 اکتبر، SafeDep هیچ بسته یا قربانی شخص ثالثی پیدا نکرده بود. این تیم نوشت: "تمام فعالیت های مشاهده شده متعلق به حساب های آزمایشی خود اپراتور است."

مانند بسیاری از داستان‌های امنیتی با پایان خوش، برای درست بودن خیلی خوب بود.

در گزارش روز دوشنبه، شرکت امنیت زنجیره تامین JFrog گفت که تجزیه و تحلیل آن خلاف این را ثابت کرد و دریافت که اپراتور کمپین testmetest "قبلا مخازن واقعی متعلق به توسعه دهندگان و سازمان های تاسیس شده را مسلح کرده است."

به گفته گای کورولفسکی و یایر بنامو، محققان JFrog، این فقط مربوط به زمان بندی نیست. آنها نوشتند: «حباب‌های محموله به اندازه‌ای بزرگ بودند که از جستجوی GitHub و مسیرهای API که معمولا برای یافتن این نوع مصالحه استفاده می‌شد، فرار کنند».

نحوه عملکرد حملات

مهاجمان قلاب‌های اجرایی برای دستیاران کدنویسی هوش مصنوعی و ابزارهای توسعه، از جمله Claude، Gemini، Cursor و VS Code، در کنار بسته‌بندی‌های چندشکل با اندازه‌های 12.9 تا 13.7 مگابایت قرار دادند که یک بار مخفی ناشر CI را رمزگشایی می‌کنند. به‌طور جداگانه، کرم npm اعتبارنامه‌ها را می‌دزدد، مخازن و پیکربندی‌های CI را تغییر می‌دهد و از طریق بسته‌های npm پخش می‌شود.

این بدافزار همچنین از یک افزونه بومی کامپایل شده برای رمزگشایی و راه اندازی یک بار جداگانه استفاده می کند. قبل از اجرا، لودر رانرهای CI، کانتینرها، جعبه‌های ماسه‌ای، اشکال‌زداها و دیگر نشانه‌های تجزیه و تحلیل خودکار را بررسی می‌کند و وقتی آنها را شناسایی می‌کند بی‌صدا خارج می‌شود تا احتمال شناسایی توسط اسکنرهای امنیتی را کاهش دهد.

محققان همچنین ساخت دومی را پیدا کردند که از فایل رمزگذاری شده عبور می کند. آن‌ها نوشتند: «این دستور را فورک می‌کند، جدا می‌کند و یک فرمان رمزگذاری شده را اجرا می‌کند که یک لودر را از یک مخزن در حساب GitHub خود اپراتور می‌کشد. آن حساب - CementBeetleSteeple - در مجموع میزبان 17 مخزن کمپین بود.

JFrog این حساب را به یک اسکنر پوسته متصل کرد، که قبلا توسط Socket در یک کمپین در مقیاس بزرگ ثبت شده بود که از GitHub Actions در مخازن در معرض خطر برای سوء استفاده از CVE-2026-41940 و سرقت اعتبار سرور استفاده می کرد.

CVE-2026-41940 یک بای پس احراز هویت است که بر cPanel و WHM تأثیر می گذارد. CISA در ماه آوریل آن را به کاتالوگ آسیب پذیری های شناخته شده خود اضافه کرد و cPanel از آن زمان نسخه های وصله شده را منتشر کرده است.

محققان JFrog نوشتند: «زیرساخت‌های C2 قبلا توسط Socket گزارش شده بود؛ یافته‌های ما آن‌ها را از طریق مصنوعات و جریان‌های کاری روی همان مالکان ربوده‌شده به تست‌مست‌ست خوشه قربانی GitHub متصل می‌کند. آنها افزودند که در حالی که آنها 42 مخزن GitHub مسلح را پیدا کردند و تلاش کردند برای بهره برداری در سطح اینترنت تلاش کنند، اما هیچ گونه نفوذ پایین دستی cPanel را تأیید نکردند.®